建站
咨詢
售后
建站咨詢
新聞中心
測試并配置NAT網(wǎng)絡(luò) 實現(xiàn)內(nèi)外網(wǎng)訪問設(shè)置，配置NAT網(wǎng)絡(luò)過嗎？忘記配制方法了嗎？你的配置NAT網(wǎng)絡(luò)是不是經(jīng)常讓你上網(wǎng)時掉線，看看下面的文章，一切問題都能解決。
創(chuàng)新互聯(lián)公司成立于2013年，我們提供高端網(wǎng)站建設(shè)公司、網(wǎng)站制作、成都網(wǎng)站設(shè)計公司、網(wǎng)站定制、全網(wǎng)營銷推廣、小程序設(shè)計、微信公眾號開發(fā)、網(wǎng)站推廣服務(wù)，提供專業(yè)營銷思路、內(nèi)容策劃、視覺設(shè)計、程序開發(fā)來完成項目落地，為圍欄護欄企業(yè)提供源源不斷的流量和訂單咨詢。
（1）配置NAT網(wǎng)絡(luò)外出路由并測試
主要是配置缺省路由。
huadong(config)#ip route 0.0.0.0 0.0.0.0 210.75.32.9
huadong#ping 211.100.15.36
……
!!!!!
……
結(jié)果證明本路由器可以通過ISP訪問Internet。
（2） 配置PAT，使內(nèi)部網(wǎng)絡(luò)計算機可以訪問外部網(wǎng)絡(luò)，但不能訪問總部和分支機構(gòu)
主要是基于安全目的，不希望內(nèi)部網(wǎng)絡(luò)被外部網(wǎng)絡(luò)所了解，而使用地址轉(zhuǎn)換（配置NAT網(wǎng)絡(luò)）技術(shù)。同時，為了節(jié)約費用，只租用一個IP地址（路由器使用）。所以，需要使用PAT技術(shù)。使用配置NAT網(wǎng)絡(luò)技術(shù)的關(guān)鍵是指定內(nèi)外端口和訪問控制列表。
在訪問控制列表中，需要將對其他內(nèi)部網(wǎng)絡(luò)的訪問請求包廢棄，保證對其他內(nèi)部網(wǎng)絡(luò)的訪問是通過IPSec來實現(xiàn)的。
huadong(config)#inter eth0/0
huadong(config-if)#ip nat inside
huadong(config-if)#inter serial0/0
huadong(config-if)#ip nat outside
huadong(config-if)#exit
以上命令的作用是指定內(nèi)外端口。
huadong(config)#route-map abc permit 10
huadong(config-route-map)#match ip address 150
huadong(config-route-map)#exit
以上配置NAT網(wǎng)絡(luò)命令的作用是指定對外訪問的規(guī)則名。
huadong(config)#access-list 150 deny 172.17.1.0 0.0.0.255 172.16.0.0 0.0.255.255
huadong(config)#access-list 150 deny 172.17.1.0 0.0.0.255 172.17.2.0 0.0.0.255
huadong(config)#access-list 150 deny 172.17.1.0 0.0.0.255 172.17.3.0 0.0.0.255
huadong(config)#access-list 150 permit ip 172.17.1.0 0.0.0.255 any
以上命令的作用是指定對外訪問的規(guī)則內(nèi)容。例如，禁止利用配置NAT網(wǎng)絡(luò)對其他內(nèi)部網(wǎng)絡(luò)直接訪問（當(dāng)然，專用地址本來也不能在Internet上使用），和允許內(nèi)部計算機利用配置NAT網(wǎng)絡(luò)技術(shù)訪問Internet（與IPSec無關(guān)）。
huadong(config)#ip nat inside source route-map abc interface serial0/0 overload
上述命令的作用是聲明使用串口的注冊IP地址，在數(shù)據(jù)包遵守對外訪問的規(guī)則的情況下，使用PAT技術(shù)。以下是測試命令，通過該命令，可以判斷配置是否有根本的錯誤。例如，在命令的輸出中，說明了內(nèi)部接口和外部接口。并注意檢查輸出與實際要求是否相符。
huadong#show ip nat stat
Total active translations: 0 (0 static, 0 dynamic; 0 extended)
Outside interfaces:
Serial0/0
Inside interfaces:
Ethernet0/0
……
在IP地址為172.17.1.100的計算機上，執(zhí)行必要的測試工作，以驗證內(nèi)部計算機可以通過PAT訪問Internet。
c:>ping 210.75.32.10
……
Reply from 210.75.32.10: bytes=32 time=1ms TTL=255
……
c:>ping
http://www.ninemax.com
……
Reply from 211.100.15.36: bytes=32 time=769ms TTL=248
……
此時，在路由器上，可以通過命令觀察PAT的實際運行情況，再次驗證PAT配置正確。
huadong#show ip nat tran
Pro Inside global Inside local Outside local Outside global
icmp 210.75.32.9:1975 172.17.1.100:1975 210.75.32.10:1975 210.75.12.10:1975
……
以上測試過程說明，配置NAT網(wǎng)絡(luò)配置正確。內(nèi)部計算機可以通過安全的途徑訪問Internet。當(dāng)然，如果業(yè)務(wù)要求，不允許所有的內(nèi)部員工/計算機，或只允許部分內(nèi)部計算機訪問Internet，那么，只需要適當(dāng)修改上述配置命令，即可實現(xiàn)。
（3） 配置ESP-DES IPSec并測試
以下配置是配置VPN的關(guān)鍵。首先，VPN隧道只能限于內(nèi)部地址使用。如果有更多的內(nèi)部網(wǎng)絡(luò)，可在此添加相應(yīng)的命令。
huadong(config)#access-list 105 permit ip 172.17.1.0 0.0.0.255 172.16.0.0 0.0.255.255
huadong(config)#access-list 106 permit ip 172.17.1.0 0.0.0.255 172.17.2.0 0.0.0.255
huadong(config)#access-list 107 permit ip 172.17.1.0 0.0.0.255 172.17.3.0 0.0.0.255
指定VPN在建立連接時協(xié)商IKE使用的策略。方案中使用sha加密算法，也可以使用md5算法。在IKE協(xié)商過程中使用預(yù)定義的碼字。
huadong(config)#crypto isakmp policy 10
huadong(config-isakmp)#hash sha
huadong(config-isakmp)#authentication pre-share
huadong(config-isakmp)#exit
針對每個VPN路由器，指定預(yù)定義的碼字。可以一樣，也可以不一樣。但為了簡明起見，建議使用一致的碼字。
huadong(config)#crypto isakmp key abc2001 address 211.157.243.130
huadong(config)#crypto isakmp key abc2001 address 202.96.209.165
huadong(config)#crypto isakmp key abc2001 address 192.18.97.241
為每個VPN（到不同的路由器，建立不同的隧道）制定具體的策略，并對屬于本策略的數(shù)據(jù)包實施保護。本方案包括3個VPN隧道。需要制定3個相應(yīng)的入口策略(下面只給出1個)。
huadong(config)#crypto map abc 20 ipsec-isakmp
huadong(config-crypto-map)#set peer 211.157.243.130
huadong(config-crypto-map)#set transform-set abc-des
huadong(config-crypto-map)#match address 105
huadong(config-crypto-map)#exit
使用路由器的外部接口作為所有VPN入口策略的發(fā)起方。與對方的路由器建立IPSec。
huadong(config)#crypto map abc local-address serial0
IPSec使用ESP-DES算法（56位加密），并帶SHA驗證算法。
huadong(config)#crypto ipsec transform-set abc-des esp-des esp-sha-hmac
指明串口使用上述已經(jīng)定義的策略。
huadong(config)#inter serial0/0
huadong(config-if)#crypto map abc
在IP地址為172.17.1.100的計算機上驗證:
c:>ping 172.16.1.100
……
Reply from 172.16.1.100: bytes=32 time=17ms TTL=255
……
huadong#show crypto engine conn acti
ID Interface IP-Address State Algorithm Encrypt Decrypt
1 set HMAC_SHA+DES_56_CB 0 0
2000 Serial0/0 210.75.32.9 set HMAC_SHA+DES_56_CB 0 452
2001 Serial0/0 210.75.32.9 set HMAC_SHA+DES_56_CB 694 0
同時，這種連接使用了IPSec，而沒有使用配置NAT網(wǎng)絡(luò)技術(shù)。
配置NAT網(wǎng)絡(luò)測試
將所有路由器按照上述過程，根據(jù)具體的環(huán)境參數(shù)，做必要修改后，完成VPN的配置。網(wǎng)絡(luò)部分任務(wù)完成，可以順利開展業(yè)務(wù)應(yīng)用了。如果需要，路由器本身提供更詳細的調(diào)試命令：
debug crypto engine connections active
debug crypto
isakmp sa
debug crypto ipsec sa
在調(diào)試時，需要注意，在對應(yīng)路由器上也執(zhí)行相應(yīng)的調(diào)試命令。然后，在一臺客戶機（172.17.1.100）上執(zhí)行如下命令:
c:>ping 172.16.1.100 -n 1
配置NAT網(wǎng)絡(luò)最后，對比2個路由器的輸出，觀察出現(xiàn)問題的提示——這是隧道不能建立的主要原因。針對此提示，做必要的修改工作，便可圓滿完成VPN的配置計劃。在實際中，該方案完全滿足用戶需求，并充分驗證了VPN技術(shù)的可用性和實用性。至今運行正常，用戶非常滿意。
網(wǎng)站題目：測試并配置NAT網(wǎng)絡(luò)實現(xiàn)內(nèi)外網(wǎng)訪問設(shè)置
當(dāng)前網(wǎng)址：http://www.5511xx.com/article/dhjdojo.html
